4 minuten lezen

Ieder bedrijf krijgt er op een gegeven moment mee te maken: het verwerken van persoonsgegevens. In welke situaties heb je een verwerkersovereenkomst nodig? Daar gaan we in deze blog op in.

Net begonnen en weten hoe je volgens de AVG met persoonsgegevens moet omgaan? Dat lees je onze blog over dit onderwerp. En wil je weten wat een verwerkersovereenkomst precies is? Lees dan deze blog.

Je hebt over het algemeen een verwerkersovereenkomst of verwerkingscontract nodig wanneer een andere organisatie namens jouw bedrijf of wanneer jouw bedrijf in opdracht van een andere organisatie persoonsgegevens verwerkt. Dat lijkt duidelijk, maar er zit een aantal haken en ogen aan. Degene die de opdracht uitvoert hoeft namelijk niet altijd een verwerker te zijn en in dat geval is er geen verwerkersovereenkomst nodig. Hoe dat precies zit, leggen we aan je uit.

Gegevens verwerken: primaire opdracht of gevolg?
Het hangt van de situatie af of je een verwerkersovereenkomst nodig hebt. Stel als hulpmiddel om dit te bepalen de volgende vraag: is de verwerking van persoonsgegevens onderdeel van de opdracht (de primaire opdracht), of is het een gevolg van het uitvoeren van de opdracht (uitvloeisel)? In het eerste geval heb je sowieso te maken met een verwerker, in het tweede geval is het mogelijk dat de andere organisatie geen verwerker is. Nog steeds ingewikkeld? We verduidelijken het graag met een paar voorbeelden.

1. Jaarrekening opstellen
De jaarrekening van je bedrijf stel je meestal niet zelf op, dat besteed je uit aan een accountant. De accountant moet daarbij bepaalde persoonsgegevens verwerken, zoals contactgegevens van werknemers en gegevens over loonbetalingen. In dit geval is het verwerken van die gegevens niet de primaire opdracht van de accountant; de primaire opdracht is het opstellen van de jaarrekening. Daarom is hierbij géén verwerkersovereenkomst nodig. De accountant is zelf verantwoordelijk voor de manier waarop hij of zij met de persoonsgegevens omgaat.

2. Persoonsgegevens extern opslaan
Maak je gebruik van een hostingbedrijf om gegevens veilig op te slaan? Een belangrijk deel van deze gegevens bestaat waarschijnlijk uit (je raadt het al) persoonsgegevens. De verwerking van persoonsgegevens is in dit geval duidelijk een onderdeel van de primaire opdracht. Grote kans dat het verwerkingscontract al een vast onderdeel is van de opdrachtovereenkomst. Zo niet, dan stel je met SmartAgreements gemakkelijk zelf een standaard verwerkersovereenkomst op.

3. Loonadministratie door een extern kantoor
Stel dat je een verhuisbedrijf hebt waar een aantal werknemers werkt. Om deze sterke mannen en vrouwen te kunnen betalen, moeten er persoonsgegevens worden opgeslagen. Die opslag en het ophalen van die gegevens om de lonen te betalen, zijn verwerkingen van persoonsgegevens. Niets aan de hand als je dit intern doet. Besteed je de loonadministratie uit aan een loonadministratiekantoor? Dan is die organisatie een verwerker en heb je een verwerkersovereenkomst nodig. Alleen door middel van het verwerken van persoonsgegevens, kan dit kantoor namelijk de opdracht uitvoeren. Afspraken over hoe het kantoor omgaat met de gegevens van de werknemers van je verhuisbedrijf, horen thuis in een verwerkersovereenkomst.

Hulpmiddel om te bepalen
In deze blog heb je wat voorbeelden gelezen van wanneer een verwerkersovereenkomst nodig kan zijn. Let wel goed op, want de regelgeving is, zoals we inmiddels gewend zijn, complex. De situaties in deze blog kunnen in de praktijk net anders uitpakken. Ook de vraag of gegevens verwerken onderdeel is van de hoofdopdracht, is niet meer dan een hulpmiddel. Let dus altijd goed op en vraag professioneel advies als dat nodig is.

De regelgeving is complex, maar met ons sjabloon voor de verwerkersovereenkomst stel je de overeenkomst eenvoudig zelf op. De basis van het sjabloon is gemaakt door de vakkundige advocaten van Wieringa Advocaten Zo kun je op een betaalbare manier afspraken rondom het verwerken van persoonsgegevens goed vastleggen, volledig afgestemd op jouw persoonlijke situatie.